บทความกฎหมายข้อมูลและ AI ที่อ่านจากตัวบทจริง
บทความกฎหมายข้อมูลและ AI ที่อ่านจากตัวบทจริง คือชุดบทความของ AIPDPA 68 เรื่อง ที่หยิบเรื่ององค์กรไทยเจอจริง แล้วอ่าน PDPA ประกาศ สคส. แนวปฏิบัติ TDPG 4.0 และกฎหมายอื่นไว้ด้วยกัน เหมาะกับ DPO ฝ่ายกฎหมาย และฝ่ายบุคคล ได้คำตอบพร้อมตัวบทที่ยกคำต่อคำ
ล่าสุด · หน้า 3/6
แนวปฏิบัติ PDPAทำ Data Mapping ใน 7 วัน จนได้ RoPA ฉบับแรก
บริษัทส่วนใหญ่ทำ RoPA ไม่เสร็จเพราะไม่รู้ว่าข้อมูลไหลไปไหน มากกว่าเพราะแบบฟอร์มยาก แผนนี้แบ่งงานเป็นวัน ให้ทุกฝ่ายวาดแผนผังข้อมูลของตัวเอง แล้วแปลงเป็นบันทึกรายการตามมาตรา 39 ภายในหนึ่งสัปดาห์
ข้อมูลรั่วไหลส่งอีเมลหรือไฟล์ผิดคน ต้องแจ้ง สคส. ไหม
แนบไฟล์เงินเดือนไปผิดคน ใส่อีเมลลูกค้าร้อยคนไว้ในช่อง CC ส่งใบแจ้งหนี้สลับคน ไม่มีแฮกเกอร์สักคน แต่ตามประกาศปี 2565 นับเป็นเหตุละเมิดข้อมูลส่วนบุคคลทั้งหมด สคส. เคยประเมินกรณีแบบนี้ไว้แล้วสามเรื่อง และคำตอบเข้มกว่าที่หลายบริษัทคิด
งานบุคคลข้อมูลพนักงานตั้งแต่สมัครงานจนลาออก HR ต้องทำอะไรบ้างตาม PDPA
ฝ่ายบุคคลถือข้อมูลส่วนบุคคลมากที่สุดในบริษัท และหลายอย่างเป็นข้อมูลอ่อนไหว ไล่ทีละช่วงตั้งแต่ใบสมัคร ตรวจสุขภาพ ระบบลงเวลา การกำกับการทำงาน จนถึงวันที่พนักงานลาออกและมีคนโทรมาขอประวัติ
มาตรฐาน AI สากล10 ข้อที่ EU AI Act ห้ามเด็ดขาด ธุรกิจไทยแบบไหนเข้าข่าย
ระบบ AI ส่วนใหญ่ใน EU AI Act แค่ต้องทำเอกสารหรือแจ้งผู้ใช้ แต่มีกลุ่มหนึ่งที่ห้ามขายและห้ามใช้เลย ใช้บังคับแล้วตั้งแต่ปี 2025 และจะเพิ่มอีกสองข้อในวันที่ 2 ธันวาคม 2026
มาตรฐาน AI สากลEU AI Act ใช้กับบริษัทไทยเมื่อไร และเมื่อไรไม่เกี่ยว
กฎหมาย AI ของสหภาพยุโรปไม่ผูกพันในไทย เว้นแต่บริษัทเข้ากรณีใน Article 2 เช่น ขายระบบ AI เข้าตลาด EU หรือส่งผลลัพธ์ของ AI ไปให้คนใน EU ใช้ เราไล่ตัวบทภาษาอังกฤษคำต่อคำ พร้อมวันที่ชุดใหม่หลังการแก้ไขปี 2026
คลาวด์และการส่งข้อมูลไปต่างประเทศส่งข้อมูลให้บริษัทในเครือต่างประเทศ เลือก BCR หรือสัญญามาตรฐาน
บริษัทลูกในไทยส่งข้อมูลพนักงานและลูกค้าให้บริษัทแม่ทุกวัน แม้จะอยู่ในเครือเดียวกันก็ยังเป็นการโอนข้อมูลไปต่างประเทศ มาตรา 29 ให้เลือกได้สองทาง คือขอให้ สคส. รับรอง BCR หรือทำข้อสัญญาตามที่คณะกรรมการกำหนด
ความมั่นคงปลอดภัยไซเบอร์บริษัทเราเป็น CII ไหม และหน้าที่ตาม พ.ร.บ.ไซเบอร์
การเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ไม่ได้เริ่มจากการประเมินตัวเอง แต่เมื่อเป็นแล้ว หน้าที่มีกำหนดวันชัดเจน และบางส่วนไหลลงไปถึงผู้รับจ้างไอทีที่ทำงานให้ด้วย
มาตรฐาน AI สากลISO 42001 กับ NIST AI RMF องค์กรไทยควรเริ่มอันไหนก่อน
เมื่อลูกค้าต่างประเทศส่งแบบสอบถามมาถามว่า "ใช้กรอบธรรมาภิบาล AI อะไร" สองชื่อที่มักถูกยกมาคือ ISO/IEC 42001 กับ NIST AI RMF ทั้งคู่ไม่ใช่กฎหมายไทย แต่ใช้ต่างกันมาก อันหนึ่งขอใบรับรองได้ อีกอันใช้เป็นเช็กลิสต์
กฎหมายทับซ้อนลูกค้าขอลบข้อมูล แต่กฎหมายสั่งเก็บ log 90 วัน ต้องทำอย่างไร
ลูกค้าอีเมลมาขอให้ลบข้อมูลทั้งหมด ฝ่ายไอทีตอบว่าลบ log ไม่ได้ ที่จริงถูกกันคนละครึ่ง บทความนี้แยกให้ดูว่าข้อมูลส่วนไหนต้องเก็บ ส่วนไหนต้องลบ และต้องลบเมื่อไร
แนวปฏิบัติ PDPAส่งโปรฯ หาลูกค้าเก่า ต้องขอความยินยอมทุกครั้งไหม
ทีมการตลาดมีทั้งรายชื่อลูกค้า เพื่อนใน LINE OA และพิกเซลโฆษณาบนเว็บไซต์ ก่อนกดส่งทุกครั้งจะมีคนถามว่าต้องขอความยินยอมก่อนหรือไม่ บทความนี้วาง PDPA มาตรา 19, 24 และ 32 คู่กับแนวปฏิบัติ TDPG 4.0 และข้อหารือของ สคส. ให้เห็นว่าเส้นแบ่งอยู่ตรงไหน
ความมั่นคงปลอดภัยไซเบอร์เช็กลิสต์ความปลอดภัยฉบับเดียว ตอบทั้ง สคส. และ สกมช.
ประกาศของ สคส. ปี 2565 กับมาตรฐานขั้นต่ำของ สกมช. ปี 2566 ใช้ภาษาต่างกัน แต่ถามเรื่องเดียวกันมากกว่าที่คิด บทความนี้วางสองฉบับเทียบกันทีละหัวข้อ แล้วรวมเป็นเช็กลิสต์เดียว
ทรัพย์สินทางปัญญาNDA ที่ปกป้องความลับได้จริง ต้องมีอะไรบ้าง
เซ็น NDA แล้วไม่ได้แปลว่าข้อมูลได้รับความคุ้มครอง พ.ร.บ.ความลับทางการค้าคุ้มครองเฉพาะข้อมูลที่เจ้าของใช้มาตรการที่เหมาะสมรักษาไว้ และมีบางเรื่องที่ NDA ต้องเขียนห้ามไว้ชัดแจ้ง ไม่เช่นนั้นห้ามไม่ได้
ดัชนีหมวดเรื่อง
| หมวด | จำนวน | เรื่องล่าสุด |
|---|---|---|
| ข้อมูลรั่วไหล | 7 | ภาพจากกล้องวงจรปิดหลุด ต้องทำอะไรใน 72 ชั่วโมงแรก · 16 ตุลาคม 2569 |
| กฎหมายทับซ้อน | 3 | ลูกค้าขอลบข้อมูล แต่กฎหมายสั่งเก็บ log 90 วัน ต้องทำอย่างไร · 14 ตุลาคม 2569 |
| AI ในองค์กร | 9 | กล้องสแกนใบหน้าพนักงาน ต้องมีเหตุผลแค่ไหนจึงใช้ได้ · 16 ตุลาคม 2569 |
| งานบุคคล | 4 | ใช้ AI คัดใบสมัครหรือให้คะแนนพนักงาน ฝ่ายบุคคลต้องระวังอะไร · 14 ตุลาคม 2569 |
| ข้อหารือ สคส. | 2 | สคส. ตอบข้อหารือ PDPA 8 เรื่องที่บริษัทเจอบ่อย · 14 ตุลาคม 2569 |
| คลาวด์และการส่งข้อมูลไปต่างประเทศ | 5 | กล้องวงจรปิดบนคลาวด์และแอปมือถือ ต้องถามอะไรก่อนใช้ · 16 ตุลาคม 2569 |
| แนวปฏิบัติ PDPA | 17 | กล้องวงจรปิดที่ติดแล้ว ทำ 7 ข้อให้ปลอดภัยได้ในหนึ่งสัปดาห์ · 16 ตุลาคม 2569 |
| ความมั่นคงปลอดภัยไซเบอร์ | 11 | ดูกล้องวงจรปิดจากมือถือ ต้องจัดการรหัสโรงงานและ P2P ก่อน · 16 ตุลาคม 2569 |
| ทรัพย์สินทางปัญญา | 6 | NDA ที่ปกป้องความลับได้จริง ต้องมีอะไรบ้าง · 14 ตุลาคม 2569 |
| มาตรฐาน AI สากล | 4 | 10 ข้อที่ EU AI Act ห้ามเด็ดขาด ธุรกิจไทยแบบไหนเข้าข่าย · 14 ตุลาคม 2569 |
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)